Barracuda Email Security Gateway (ESG)
Barracuda Email Security Gateway: bypass dell'autenticazione modifica la configurazione, già sfruttata
Il problema, secondo i dati ufficiali
- Una falla di bypass dell'autenticazione in Barracuda Email Security Gateway (ESG) permette di richiamare la funzione di importazione della configurazione e di ripristinare un archivio di backup compatibile, appositamente costruito.
- Il risultato è la modifica non autorizzata della configurazione globale dell'appliance.
- Può essere sfruttata da un attaccante remoto non autenticato, quindi senza bisogno di un account, via rete (anche da internet se il servizio è esposto).
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 10/11/2026.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- Aggiorna Barracuda Email Security Gateway (ESG) alla versione 9.4.0.030 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- Barracuda Email Security Gateway (ESG): prima della 9.4.0.030
Ne parlano
- Barracuda: disponibile PoC per lo sfruttamento delle CVE-2026-116606 e CVE-2026-111560 — CSIRT Italia, 12 novembre 2026
- Experts Demonstrate Barracuda Email Security Gateway Chain Enabling Root Access Without Login — The Hacker News, 6 novembre 2026
Fonti ufficiali
- trust.barracuda.com — avviso del produttore
- nvd.nist.gov — avviso del produttore
- github.com — riferimento
Descrizione ufficiale (in inglese)
An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.
Non sai se ti riguarda?
Se usi Barracuda Email Security Gateway (ESG) e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.